React项目package.json异常依赖"-":"0.0.1"的来源及移除方法咨询

该依赖的本质与来源 #

• 这是完全无实用价值的异常配置，不属于项目正常需要的功能依赖
• 实际来源通常有两种：
  • 命令行参数解析bug：旧版本npm在执行安装命令时，如果输入内容存在孤立的-字符、没有衔接完整的参数标识（比如本想输入--save漏写了后半段），会被npm误识别为待安装的包名，拉取npm上同名的空占位包写入配置
  • 你项目中现存的save@2.4.0第三方工具存在已知bug：这个早年的第三方工具原本用来实现依赖自动写入package.json的功能，旧版本会错误将-作为包名追加到dependencies列表
• 该包本身没有任何可调用的代码逻辑、功能导出，对你的React项目运行没有任何正向作用，反而会增加依赖安装耗时，触发包管理工具的安全审计异常提示

完整移除操作步骤 #

• 第一步：手动打开项目根目录的package.json，直接删除dependencies字段下"-": "0.0.1"对应的整行
• 第二步：同步清理锁文件中的残留记录，避免重装时异常依赖被自动拉回：
  • 使用npm管理依赖的项目：打开package-lock.json，搜索"node_modules/-"对应的配置段全部删除
  • 使用yarn管理依赖的项目：打开yarn.lock，搜索^-@对应的配置段全部删除
• 第三步：执行命令清理本地残留依赖并重建正常的依赖树：

  npm prune
  npm install
  

• 额外优化建议：你项目中安装的save@2.4.0工具本身已经没有存在必要——现代npm默认会将安装的包自动写入dependencies字段，不需要该第三方工具补全功能，且它是触发该异常依赖问题的核心诱因，建议同步将该依赖从配置中移除，避免后续操作反复生成异常条目

注意：不要尝试直接执行npm uninstall -来移除该依赖，命令行的参数解析逻辑会把-误识别为命令标识，直接触发报错无法完成删除操作

内容的提问来源于stack exchange，提问作者user8317490